制度情報について（最終確認日：2026年7月31日）
本記事は、IPAおよび経済産業省が公開している資料を基に作成しています。SCS評価制度の詳細（要求事項・評価基準・費用・開始時期等）は今後変更・詳細化される可能性があるため、最新情報はIPA公式ページ・経済産業省をご確認ください。なお、他フレームワークとの対応づけや、多要素認証・FIDO2・特権ID管理（PAM）等の個別技術は、制度が求める要求事項を満たすための実装・整理手段としてNet Peaceが推奨するものであり、特定の製品・技術・対応関係を制度上の規定として断定するものではありません（「制度上の要求事項」と「当社の推奨・整理」を分けて記載しています）。
ISMS取得企業がまず押さえるべきこと
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省（METI）主導・IPA運用のもと、2026年3月27日に制度構築方針が公表され、2026年度末ごろの制度開始が予定されています。すでにISO/IEC 27001（ISMS）を取得している企業からは「ISMSがあればSCS対応は不要では？」という質問をよくいただきます。結論から言うと、ISMSの取り組みはSCS対応の大きな土台になりますが、そのまま代替はできません。両者は目的も評価の枠組みも異なるためです。本記事では、流用できる部分とSCS固有で追加検討が必要な部分を整理します。
両制度の位置づけの違い
| 観点 | ISO/IEC 27001（ISMS） | SCS評価制度 |
|---|---|---|
| 主体 | 国際規格（ISO/IEC） | 日本の制度（METI・IPA） |
| 目的 | 組織の情報セキュリティマネジメントの仕組み（PDCA）の構築・維持 | サプライチェーン全体のセキュリティ水準の底上げと可視化 |
| 評価の考え方 | マネジメントシステムが機能しているかを認証機関が審査 | 評価レベル（★3・★4）ごとの要求事項の充足を評価 |
| 認証・有効期間 | 3年サイクル＋年次サーベイランス審査 | ★3：有効期間1年／★4：有効期間3年（予定） |
| 対象範囲 | 企業が定めた適用範囲（スコープ） | 取引・調達を意識したサプライチェーン視点 |
ISO/IEC 27001:2022では、附属書Aに93の管理策が「組織的・人的・物理的・技術的」の4テーマで整理されています。SCS評価制度の要求事項と重なる領域は多く、ISMSで整備した規程・記録の多くはSCSの証跡としても活用できます。
ISMSから流用できる部分
ISMSを運用していれば、SCSの多くの分野で「ゼロから作る」必要はありません。特に以下は流用しやすい領域です。
- 方針・体制（ガバナンス）：情報セキュリティ基本方針、責任者・体制、リスクアセスメントの仕組み。
- 資産管理：情報資産台帳、管理区分。
- アクセス制御：アクセス制御方針、アカウント管理、権限レビューの記録。
- 運用・ログ：運用手順、ログ取得・監視、変更管理。
- 供給者管理：ISO/IEC 27001の供給者関係の管理策は、SCSの委託先管理と親和性が高い。
- 教育・インシデント：教育記録、インシデント対応手順、事業継続の考え方。
これらの証跡の様式はSCS証跡テンプレ集に、分野ごとの担当・規程・証跡の一覧はSCS対応マトリクスにまとめています。
SCS固有で追加検討が必要な部分
一方で、ISMSの認証範囲や実装レベルによっては、次の点で追加の対応・確認が必要になりやすいです（あくまで一般的な傾向であり、最終的な要否はIPA公式資料と自社のISMS適用範囲によります）。
- フィッシング耐性の高い認証：★4ではフィッシング耐性MFA（FIDO2・パスキー）が望ましいとされます。ISMSは特定の認証方式を必須にはしません。
- サプライチェーン視点の粒度：取引先・委託先のセキュリティ調査や再委託の管理を、取引要件として具体化する必要が生じ得ます。
- ISMS適用範囲外の部門・システム：ISMSのスコープを絞っている場合、範囲外の資産・アカウントがSCSでは対象になり得ます。
- 評価レベルに応じた実装の確からしさ：★4は第三者評価・技術検証を伴うため、「規程がある」だけでなく「実装され記録が残っている」ことがより重視されます。
ISMS取得企業の進め方
- 自己診断チェックで12分野の現状を可視化する。
- ISMSの適用範囲・管理策とSCS要求事項を突き合わせ、ギャップ分析を行う。
- 不足分（特に認証方式・委託先管理・範囲外資産）を優先的に補強する。
- 既存のISMS証跡を対応マトリクスに沿って再整理し、SCSの証跡として使える形にする。
まとめ
ISMSはSCS対応の強力な出発点です。方針・資産・アクセス制御・供給者管理・教育・インシデントといった土台をそのまま活かしつつ、認証方式の強化・サプライチェーン視点の具体化・適用範囲の見直しを差分として補うのが効率的です。まずはギャップ分析で「流用できる部分」と「追加が必要な部分」を切り分けましょう。ID・認証・アクセス分野の差分対応は、KeyperのようなIDガバナンス基盤の活用も選択肢になります。対応の優先順位づけは無料診断でもご相談いただけます。